Fearless Wallet 密钥泄露事件深度解析：已报告案例仅是冰山一角
根据记录显示，四个版本的 Fearless Wallet 浏览器扩展程序在钱包解锁时，会将私钥副本发送给攻击者控制的服务器。截至目前，已有八名用户报告了未经授权的转账，涉及总量为 17,286 DOT。然而，我们的评估指出：报告的案例数量仅仅是问题的一小部分。
该通知的日期为 2026 年 10 月 21 日。受影响的产品并非网络官方软件，而是第三方产品：Fearless Wallet 从来不是 Polkadot 的官方钱包。具体而言，这意味着：如果您自 2025 年 2 月以来任何时间曾在设备上安装过该扩展程序，那么使用它创建的所有账户均被视为已暴露，无论目前是否发生了资金盗刷。
Polkadot 社区基金会于 10 月 21 日的声明
安全通知并未描述针对区块链或网络本身的攻击或漏洞。其核心在于一个浏览器扩展程序做出了与其对用户声称的功能不同的行为。当解锁钱包时，该扩展程序将私钥发送到了网络上的外部地址。私钥是账户的主密钥：持有者可以在不知道密码且无需访问设备的情况下签署任何转账交易。
包括 Cryptobriefing 在内的多家媒体在同日报道了这一通知，报道也在多个行业媒体上并行发布。基金会建议仅用一句话概括：自 2025 年 2 月以来使用过受影响扩展程序的用户，应将所有关联账户视为已 compromised（被攻破），在不同的钱包中生成新的密钥并将余额转移过去。基金会推荐的目标钱包为 Nova Wallet。
受影响的四个版本
通知列出了四个受影响版本：3.0.1、3.0.3、3.0.4 和 3.0.5。您可以在浏览器的扩展程序概览中找到 Chrome 扩展的版本号，通过地址栏输入 chrome://extensions 进入，并在钱包条目下列出。版本号不会出现在钱包内部。如果自删除扩展程序后，您将无法再找到该数字。在这种情况下，适用与其他怀疑者的相同规则：以 2025 年 2 月为截止日期，假设密钥已暴露。
发出警告时，Chrome Web Store 中仍可下载受影响的版本。列表显示约有 6,000 名用户。这一数字并非受害者计数，而是安装量计数，这正是八个报告案例与实际暴露数量之间差距所在。
恶意代码如何于 2025 年 2 月进入项目
入侵路径有 unusually well documented（异常详细的）记录。代码于 2025 年 2 月 19 日通过拉取请求（Pull Request）进入项目，即在 GitHub 上提交的由任何外部人员向开放项目提出的更改提议。该提议与 TON 生态系统有关联。它像普通的功能集扩展一样被接受。
这种攻击设计并不直接打击区块链，而是打击其前的软件供应链。它之所以有效，是因为恶意部分仅在构建和发布后才生效，且对用户来说没有任何不同。据基金会称，泄露间歇性发生，至少持续到 2026 年 10 月 10 日。因此，从插入到最后记录的流出之间有超过 19 个月的时间。
第二点令人不安但必须提及：具有相同模式（更新后资金丢失）的投诉早在 2025 年 10 月就在网络的公共论坛中被描述。详细的解释一年后才出现。从第一个信号到完整披露之间的这一差距，构成了超越单一案件的事件关键部分。
密钥并未丢失，而是被发送：发给了陌生人的服务器
为何更新或重新安装无法解决问题
这是大多数受影响者走错方向的地方。私钥不是一组可以更换的登录凭据。它是账户本身的数学基础。一旦获得私钥，即使扩展程序被删除、重新安装或更新到干净版本，攻击者仍保留一份有效的副本。新密码仅保护您自己机器上的本地金库，而非区块链上的账户。
因此，唯一有效的步骤是：在不同的钱包中生成新的密钥对，并将余额转移过去。旧地址永远不安全，即使几个月内没有发生任何事情。持有密钥副本的攻击者可以等待时机，直到盗取值得进行，而正是这种等待使得针对约 6,000 次安装的八个报告案例不能作为“安全”的信号。
通知还明确提到了移动设备。恶意代码未在移动设备上发现。但是，任何人只要曾将相同的私钥导入浏览器扩展程序，就必须将其视为已暴露，无论它位于何处。对于长期保管大量资产，选择一种根本不会将密钥传递给浏览器的设备始终是明智之选。哪些型号成本多少以及支持哪些区块链，详见硬件钱包对比。
质押和锁定的 DOT：28 天的解绑期构成障碍
只要余额自由可用，移出很简单。但在 Polkadot 上，情况往往并非如此。任何人如果质押了其 DOT，都无法立即动用：在解绑和自由可用之间存在 28 天的解锁期。在此期间，余额位于一个密钥可能在他人手中的地址。
基金会承认，锁定和质押的持仓需要额外的步骤，并在某些情况下指向 PAPI Rescue 等工具。在实践中，这意味着首先转移自由可用的持仓，同时开始质押的解绑，并将到期日加入日历。推迟解绑只会延长他人密钥可用的窗口。其他网络的锁定期设置详见staking provider comparison（质押提供商对比）。
DOT 价格为 1.16 美元，报告对其影响微乎其微
根据 CoinGecko 数据，DOT 周三下午交易价格约为 1.16 美元，24 小时内下跌约 1.8%。日内高点为 1.18 美元，低点为 1.14 美元。市值略低于 20 亿美元，排名第 51 位。
在 10 月 17 日我们讨论 DOT 上限为 21 亿枚时，价格为 1.18 美元。此后变化不大，周三的报告也未改变这一点。原因在于：17,286 DOT 按今日价格约合 20,000 美元。相对于约 1.39 亿美元的日交易量，这一数量在市场层面几乎不可察觉。
因此，今天的关键水平与报告前相同。下行方面，日内低点 1.14 美元是第一道防线，其下是 10 月 9 日的月度低点，略低于 1.09 美元。上行方面是日内高点 1.18 美元，只有高于此价位，1.24 美元附近的区域才会重新进入视野，这也是价格在 10 月 11 日和 12 日停留的位置。
八个报告案例 vs 约 6,000 次安装：大多数受影响者尚不知情
持有期和税务：转移到自己的新钱包不算出售
许多人犹豫是否转移，因为他们担心触发应税事件。根据德国联邦财政部关于加密货币资产的指导，在您自己的两个钱包之间的转移不构成处置：存储地点发生变化，但所有者未变。因此，根据德国所得税法第 23 条的一年持有期继续计算；不会重新开始。
尽管如此，文档记录很重要。记录日期、金额、发送和接收地址及交易收据，以便日后匹配获取日期。任何收到质押奖励的人都应将这些项目分开保存。关于这些截止日期的当前政治动态，我们在持有期改革状态中持续跟踪。
恢复欺诈：每次泄露后的第二波浪潮
在同一通知中，基金会警告了一种在每个重大事件后出现的后续现象：有人冒充帮助者，承诺预先付款以追回丢失的资产。从技术上讲，这是不可能的。区块链上确认的转账无法逆转，没有人能在没有接收方密钥的情况下撤销交易。
任何受到接触的人都应知道这条规则：合法机构绝不会要求预付款进行恢复，也绝不会索要恢复助记词。如果索要种子短语，事情就此结束。相反，事件应向当地警方报告，并在删除旧钱包之前保存交易收据。
我们的评估：报告数量不是衡量标准
从新闻编辑部的角度来看，损失 17,286 DOT 并不是故事的核心。有三件事被记录在案，共同权重更重：2025 年 2 月插入与 2026 年 10 月 10 日最后记录的流出之间有超过 19 个月的时间；警告出现时 Chrome Web Store 中约有 6,000 次安装；以及早在 2025 年 10 月就有具有相同模式的公开投诉。从八个报告中得出结论认为这就是全部，混淆了“已报告”与“受影响”的概念。
一个严肃的资格认定反对这种观点：没人知道 6,000 次安装中有多少实际上持有任何余额，许多扩展程序在尝试一次后被闲置在浏览器中。因此，外推是不合理的。只有方向是可靠的，即：暴露的密钥数量高于被盗账户的数量，并且只要这些密钥不被替换，这种情况就会持续。
对于网络本身，这并不意味着技术有问题。区块链做到了它应该做的，并执行了有效签名的转账。问题在于其前的软件，并存在了一年半。这正是为什么“暴露的扩展程序在浏览器供应商商店中保持上架的时间长度”比本周三的价格更具意义的问题。
Fearless Wallet 泄露：旧密钥永久暴露
接下来的步骤分为三步：
- 检查浏览器的扩展程序概览，确认是否安装了 3.0.1、3.0.3、3.0.4 或 3.0.5 版本之一。为了以后的永久保管，硬件钱包对比列出了那些从不将密钥传递给浏览器的设备。
- 在不同的钱包中生成新的密钥对，并将所有自由可用的 DOT 转移过去。如果持仓处于质押状态，请同时开始解绑，并考虑 staking provider comparison（质押提供商对比）中列出的 Polkadot 的 28 天时间。
- 记录每次转移的日期、金额和双方地址，以证明持有期继续有效。您可以通过持有期报告了解当前的法律状况。
PANews 收集了关于该通知和时间线的进一步报告。（截至 2026 年 10 月 21 日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）
